Token de ServiceAccount (Kubernetes).

Credential JWT monte dans un pod Kubernetes qui authentifie le workload aupres de l'API server et de tout service faisant confiance au fournisseur d'identite du cluster. Cette notion relève de la catégorie Sécurité du cloud en cybersécurité.

Credential JWT monte dans un pod Kubernetes qui authentifie le workload aupres de l'API server et de tout service faisant confiance au fournisseur d'identite du cluster.

Un ServiceAccount Kubernetes represente une identite non humaine utilisee par les pods. Le token associe est un JSON Web Token signe, projete automatiquement dans le pod sur /var/run/secrets/kubernetes.io/serviceaccount/token (API TokenRequest dans les versions modernes), utilise pour appeler l'API server. Le token contient des claims comme audience, expiration, namespace et pod. Comme il donne acces via RBAC, sa fuite est dangereuse : avec un token vole, un attaquant peut lister, modifier ou detruire des ressources du cluster dans le perimetre du role binding. Les bonnes pratiques sont : tokens lies, courts et avec audience ; desactiver le montage automatique quand inutile ; restreindre les role bindings au moindre privilege ; et federer l'identite du workload vers l'IAM cloud (OIDC, Workload Identity, IRSA).

Les défenses contre Token de ServiceAccount (Kubernetes) combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Token ServiceAccount, Token SA projete.